Der damalige Bundesinnenminister Thomas de Maizière (CDU) sagte einmal 2015 nach einer Länderspiel-Absage wegen einer akuten Terrorgefahr: „Ein Teil dieser Antworten würde die Bevölkerung verunsichern.“ Jetzt sind wegen eines Datenlecks in der Berliner Verwaltung geheime Dokumente und Pläne zur Abwehr von Gefahren für die Bevölkerung frei verfügbar im Netz gelandet. Und Sicherheitskreise sind selbst extrem verunsichert. Denn Geheimdienste und Terrorgruppen weltweit bekommen nun Informationen, die mit zum Sensibelsten gehören, was die Hauptstadt zu bieten hat. In einer Zeit, in der Deutschland ohnehin zunehmend unter hybriden Attacken etwa aus Russland leidet.
Was ist passiert?
Vor zwei Wochen war bekannt geworden, dass es einen IT-Vorfall beim Berliner Landesnetz gegeben hat. Die Hackergruppe „Rhysida“ verschaffte sich Zugriff zu gewaltigen Datenmengen und forderte ein Lösegeld von 30 Bitcoin – umgerechnet rund zwei Millionen Euro. Dem gab der Senat nicht nach. Nach Ablauf ihres Ultimatums veröffentlichten die Hacker am Freitag dann die Daten im Darknet, nach eigenen Angaben 1,44 Millionen Dateien im Umfang von rund 5,7 Terabyte. Nach Informationen der Süddeutschen Zeitung können die Daten auf der Darknet-Seite der Gruppe heruntergeladen werden. Die Gruppierung „Rhysida“ ist den Sicherheitsbehörden bekannt und seit Mitte 2021 aktiv. Sie gilt grundsätzlich als kriminell und finanziell motiviert, betont das Bundesinnenministerium. In der Vergangenheit hatte sie bereits mehrere öffentliche und private Institutionen angegriffen, etwa die britische Nationalbibliothek oder das chilenische Militär – um Geld mit den Daten zu erpressen.
Welche sensiblen Daten sind betroffen?
Es handelt sich einerseits um unzählige Dokumente aus dem Verwaltungsbetrieb, also etwa Verträge, Protokolle, Passwörter. Weiter sind personenbezogene Daten wie Adressen und Telefonnummern oder vertrauliche Personalakten in dem Datensatz enthalten, aber auch viele Steuerunterlagen. Die SZ hat außerdem Bewerbungsunterlagen gefunden, Mailverkehr und viele als „vertraulich“ gekennzeichnete Arbeitspapiere. Aber auch sicherheitsrelevante Informationen wie Notfallpläne und geheime Kommunikationskanäle sollen geleakt worden sein.
Was löst besondere Besorgnis aus?
Es finden sich nach SZ-Informationen auch womöglich sensible Dokumente zu Verteidigungsplänen im Ernstfall, Dokumente zur zivilen Verteidigung Berlins, zu Kasernen und nach Angaben des Tagesspiegel auch zu Einrichtungen kritischer Infrastruktur wie Wasserwerken, Heizkraftwerken, Tanklager, Notstromanlagen und Umspannwerken. So lässt sich herauslesen, wo in diesen Bereichen Schwachstellen sind. Auch Baupläne von Gefängnissen und Informationen über Rüstungsunternehmen sind nun einsehbar im Darknet. Der CDU-Außen- und Verteidigungspolitiker Roderich Kiesewetter sagte der Süddeutschen Zeitung zur Dimension: „Dieser Datenabfluss ist von gravierendem Ausmaß und gefährdet unsere nationale Sicherheit.“ So könnte zum Beispiel Russland diese Daten gezielt nutzen.
Was ist besonders problematisch?
Dass hochsensible Pläne zur Gesamtverteidigung, zum Schutz kritischer Infrastrukturen und Notfallkonzepte für den Krisen- und Verteidigungsfall nun im Darknet kursierten „und gegnerischen Nachrichtendiensten sowie Terrornetzwerken offenliegen, wiegt extrem schwer“, sagt Kiesewetter. Bund und Länder müssen unverzüglich forensisch aufarbeiten, welche Dokumente exakt abgeflossen sind, „und kompromittierte Schutz- sowie Einsatzpläne ohne jeden Zeitverzug grundlegend überarbeiten und anpassen“. Zudem räche es sich bitter, dass Cybersicherheitsstandards und Verschlusssachen-Vorgaben im föderalen Gefüge und auf Länderebene nach wie vor uneinheitlich und nachlässig gehandhabt werden. „Wer unsere Gesamtverteidigung resilient aufstellen will, muss die digitale Abwehr und den Geheimschutz an allen föderalen Schnittstellen zwingend auf dasselbe Hochsicherheitsniveau heben.“
Warum geht der Fall weit über Berlin hinaus?
Weil eben auch geheime Daten zu Bundeswehr und Bundesregierung betroffen sind. „Die Bundesregierung hat Kenntnis über den Datenabfluss. Die detaillierte Auswertung findet aktuell durch die zuständigen Sicherheitsbehörden von Bund und Land statt“, sagte eine Sprecherin des Operativen Führungskommandos der Bundeswehr auf Anfrage der Süddeutschen Zeitung. „Nach Analyse potenzieller Sicherheitsrisiken werden entsprechende Maßnahmen zur Wahrung der militärischen Sicherheit eingeleitet.“ Auch das Nationale Cyberabwehrzentrum sei eingeschaltet. Experten sprechen bereits von einem Desaster, gerade in einer hochfragilen Phase. Dabei pocht die Bundeswehr seit Monaten auf viel mehr Geheimhaltung und Datensicherheit – so seien lange Zeit auch Informationen zu Stromnetzen viel zu transparent gehandhabt worden. Berlin erlebte nach einem Anschlag zu Jahresbeginn den schlimmsten Blackout seit dem Zweiten Weltkrieg. „Da waren wir naiv und haben geglaubt, dass es vernünftig ist, dass wir es offenlegen. Diese Naivität sollten wir jetzt dringend aufgeben, sonst laden wir die Saboteure erst recht ein“, sagte dazu auch der Vizebefehlshaber des Operativen Führungskommandos, General André Bodemann, in einem Interview mit der SZ.
Wie konnten die Hacker an die Daten kommen?
Fest steht, dass der Angriff am 7. August über die Senatsverwaltung für Mobilität, Verkehr und Umwelt sowie die Senatsverwaltung für Bauen und Wohnen erfolgte. Beide Behörden haben eine eigene IT und werden nicht unmittelbar vom landeseigenen IT-Dienstleistungszentrum verwaltet. Die mangelnde Konsolidierung der öffentlichen IT werten manche Kritiker als riskant. Zunächst hatte die Berliner Senatskanzlei erklärt, dass nur öffentlich zugängliche Daten bei dem Angriff abgeflossen seien. Das stellte sich als falsch heraus. Auch der Zeitpunkt des Angriffs wurde erst spät erkannt. In der Vergangenheit hatte „Rhysida“ sich mit Phishing-Attacken Netzzugriff verschafft. Dabei ahmen die Angreifer etwa die Websites nach oder geben sich in Mails als vertrauenswürdige Kollegen oder offizielle Administratoren aus, um so an Zugangsdaten zu gelangen. Über solche kompromittierten Daten können Hacker dann auf Systeme zugreifen und sie unbemerkt ausräumen.
Wie reagiert Berlin auf den Angriff?
In Berlin erklärte man, auf Erpressungsversuche nicht einzugehen. Dementsprechend ließ das Land die Frist am Freitagnachmittag verstreichen. Da auch Passwörter und Zugangsdaten veröffentlicht worden waren, wurde außerdem der Zugriff zu den Systemen eingeschränkt, berichtet der Tagesspiegel. Mitarbeiter der betroffenen Verwaltungen konnten sich demnach nicht mehr per VPN aus dem Home-Office bei internen Programmen anmelden, sondern mussten dafür im Büro anwesend sein. Innensenatorin Iris Spranger (SPD) zufolge ist die Wahl zum Abgeordnetenhaus am 20. September in Berlin technisch gegen Hackerangriffe abgesichert.
Eine vorübergehende Störung der Website des Landeswahlleiters erkläre sich dadurch, dass das Landesnetz durch die Systemanalysen stark belastet gewesen sei. „Nach jetzigem Stand sind dort keinerlei Daten abgeflossen“, sagte sie. Die sehr zögerlichen und spärlichen Reaktionen zeigen auch: Die Dimension hat viele überrascht, und manche schwierige Nachricht, was alles abgeflossen ist, dürfte erst noch kommen. Daher ist der Fall auch einer für die Bundesregierung. Ein Sprecher von Innenminister Alexander Dobrindt (CSU) betont, das Bundesamt für Sicherheit in der Informationstechnik (BSI), das Bundeskriminalamt und das Bundesamt für Verfassungsschutz (BfV) unterstützten bereits die Behörden in Berlin bei den Ermittlungen.
Besteht noch Gefahr für weitere Angriffe?
Laut dem Land Berlin gibt es aktuell keine Hinweise darauf, dass das Landesnetz weiterhin infiltriert ist. Das Netzwerk verbindet in Berlin rund 600 Standorte, etwa Verwaltungsgebäude, Feuerwachen oder wissenschaftliche Einrichtungen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erkennt eine grundsätzlich erhöhte Bedrohungslage. „Das BSI weist explizit darauf hin, dass sich aus der Veröffentlichung gestohlener Daten verschiedene Risiken für die Betroffenen und letztlich für die Gesellschaft ergeben können“.
Wie finden Privatbürger heraus, ob sie betroffen sind?
Wer einen Darknet-Zugang hat, kann die Dateien theoretisch durchsuchen. Die Berliner Verwaltung will Personen, die in den abgeflossenen Daten auftauchen, je nach Risikoeinschätzung informieren. Für Bedienstete der Verwaltungen gibt es zudem eine Anlaufstelle. Betroffene sind aufgerufen, Strafanzeige bei der Polizei zu erstatten, heißt es. Für Kritik sorgt bereits, dass das Ausmaß anfangs völlig unterschätzt wurde. Der SPD-Spitzenkandidat für die Berlin-Wahl am 20. September, Steffen Krach meint, IT-Sicherheit und Cyberabwehr müsse man massiv ausbauen. „Berlin ist nicht irgendeine Stadt. Hier sitzen Bundesregierung und Bundestag, Bundesbehörden und Botschaften.“ Hier befänden sich kritische Infrastrukturen von nationaler Bedeutung. Der Schutz Berlins sei immer auch eine Frage der Sicherheit „unseres gesamten Landes“.
